Heartbleed测试网站在数小时内被窃走私钥

　　OpenSSL Heartbleed 漏洞的危险程度被安全专家称为是“灾难级”，攻击者能利用该漏洞窃走受影响网站的用户密码和私钥，此前的研究发现用户明文密码确实会暴露，但窃取私钥尚未有报道。云计算公司 CloudFlare 发起了一个 Heartbleed 挑战赛，使用 nginx Web 服务器和存在漏洞的 OpenSSL 版本搭建了一个网站，邀请挑战者通过攻击窃取私钥。

　　结果短短几小时私钥就被安全研究人员成功窃取，至今有 4 个人通过了挑战： 软件工程师 Fedor Indutny 发送了至少 250 万次请求， Ilkka Mattila 发送了约 10 万次请求，另外两位是剑桥大学博士生 Rubin Xu 和安全研究员 Ben Murphy。这项挑战赛显示，使用存在漏洞的 OpenSSL 版本的网站应该废除所有旧私钥和证书。

来自: Solidot